ISO27000認證是由國際標準化組織(ISO)頒布的一套全面和復雜的信息安全管理標準，旨在幫助各種類型和規模的組織實施并運行有效的信息安全管理體系，從而增強企業識別、防止、減少和控制組織信息安全風險的能力。

　　ISO27000認證是由兩部分構成的。第一部分是信息安全管理體系的實施指南，第二部分是信息安全管理體系規范，相當于ISO27000認證的內容涉及1O個領域，36個管理目標和127個控制措施10個領域分別為：

　　(1)信息安全政策。信息安全政策為信息安全提供管理方向和指南。同時管理層應制定一套清晰的指導原則，并以此明確表明其對信息安全及在單位內部貫徹實施信息安全政策的支持和承諾。

　　(2)安全組織建立適當的信息安全管理部門對信息安全政策進行審批，對安全權責進行分配，并協調單位內部安全的實施。如有必要，在單位內部設立特別信息安全顧問并指定相應人選。同時，要設立外部安全顧問，以便跟蹤行業走向，監視安全標準和評估手段，并在發生安全事故時建立恰當的聯絡渠道。在此方面，應鼓勵跨學科的信息安全安排，比如，在經理人、．用戶、程序管理員、應用軟件設計師≮審計人員和保安人員間開展合作和協調口同時對第三方接觸本單位的信息處理設備要進行管制。

　　(3)資產分類與管理。所有重大的信息資產都要有記錄和主管人員。對資產的負責制度將確保對其進行有效的保護。指定的主管人員要有在此方面主要職責和管理辦法。實施管理的任務可委托給他人，但最后的責任要由資產的主管人員承擔以確保信息資產得到分類和適當水平的保護。

　　(4)個人信息安全守則。個人信息安全的權責應當在對員工聘用的階段就開始實施，還應包括在合同中，并在以后員工的聘用期內時時進行監督。對潛在的待聘員工應加以仔細充分的篩選，特別是從事敏感工作的員工所有使用信息處理設備的員工或第三方都要簽署保密或不泄密協議和崗位職責中的安全責任，以減少人為風險

　　(5)設備及使用環境的信息安全管理。保護信息系統基礎設施、設備、媒體免受非法的訪問、自然災害或環境危害。其目的是保護企業所在地及信息免于未經授權的存取、破壞及入侵。關鍵或敏感的商業信息處理設備應放置在安全的區域，由安全防御帶、適當的安全屏障和準入管制手段加以保護，以防它們物理上被非法進入、毀壞或干擾。提供的保護措施應當和風險相一致。

　　(6)溝通和操作管理要建立所有信息處理設備的管理和操作的權責及流程。這包括適當的操作指導和事故反應流程，在適當的情況下，要對權責進行劃分，以降低失職或故意濫用系統的風險。確保信息處理設備安全的操作，降低系統失效的風險。保護軟件和信息的完整性，．維護信息處理和通信的完整性和可用性，建立確保網絡信息的安全措施和整個IT基礎結構的保護。

　　(7)系統訪問控制通過對各種訪問的權限和能力進行有效的限制，確保系統和信息的安全口這包括對信息使用的授權規定，用戶管理，用戶的職責，網絡訪問管理，操作系統和應用系統的訪問管理，敏感系統的隔離，對用戶訪問的監控，移動用戶訪問的監控等

　　(8)系統開發和維護。系統的范圍包括基礎設施，業務系統和自開發的程序。定義支持業務的操作流程對安全而言是至關重要的a信息安全在系統設計之前，就必須加以足夠的考慮信息安全的需求，在有關系統項目的確定需求階段，就必須作為項目需求的一部分，寫入項目需求的文件中

      (9)業務持續經營計劃口業務持續經營計劃的制定和實旌，，是防止商業活動的中斷和防止關鍵商業過程免受重大失誤或災難的影響。業務持續經營計劃的定期演練，是業務持續經營計劃重要的實施環節。

　　(1O)合規性。信息系統的設計，操作和使用，均須符合法規（刑法、民法、知識產權或版權）。需注意的是，各國的相關法規不盡相同，當信息從一個國家傳輸到另一個國家時，尤其要注意這一點，ISO270000認證還需顧及個人信息的私密性和符合信息安全政策。

辦理信息安全管理體系認證ISO27000有什么用?

首先申辦各種認證都是依客戶要求才有用，信息安全管理體系ISO 27000必要由客戶發下指引再來建立，執行及維護體系。

實施ISO27000帶來的益處 信息安全管理體系建設項目劃分成五個大的階段，并包含25項關鍵的活動，如果每項前后關聯的活動都能很好地完成，最終就能建立起有效的ISMS，實現信息安全建設整體藍圖，接受ISO27001審核并獲得認證更是水到渠成的事情。

1現狀調研：從日常運維、管理機制、系統配置等方面對組織信息安全管理安全現狀進行調研，通過培訓使組織相關人員全面了解信息安全管理的基本知識。

2 風險評估：對組織信息資產進行資產價值、威脅因素、脆弱性分析，從而評估組織信息安全風險，選擇適當的措施、方法實現管理風險的目的。

3 管理策劃：根據組織對信息安全風險的策略，制定相應的信息安全整體規劃、管理規劃、技術規劃等，形成完整的信息安全管理系統。

4 體系實施階段：ISMS建立起來（體系文件正式發布實施）之后，要通過一定時間的試運行來檢驗其有效性和穩定性。

5 認證審核階段：經過一定時間運行，ISMS達到一個穩定的狀態，各項文檔和記錄已經建立完備，此時，可以提請進行認證。